Un código QR falso suplanta a tu negocio: qué hacer con menús, pagos y reseñas

Detén el uso y conserva el código

Si encuentras una pegatina sobre el QR de un menú, parquímetro, mesa, cartel, entrada o caja, impide que otras personas lo escaneen. Fotografía el código en su contexto, adhesivo, superficie, fecha y ubicación; después retíralo sin destruirlo cuando sea seguro. No lo escanees con el teléfono de un empleado para comprobarlo.

Usa personal de seguridad o una herramienta aislada y adecuada para decodificar la URL sin visitar el destino. Conserva dominio, ruta, parámetros y cualquier redirección solo mediante métodos seguros. Compara con el enlace oficial y revisa si el código físico fue reemplazado o si un archivo digital, correo, PDF o cuenta empresarial fue modificado.

Inspecciona todos los puntos equivalentes, incluidas otras sucursales, mesas, carteles, facturas, folletos y publicaciones. Asigna un identificador a cada código y registra quién lo verificó. No publiques el QR sospechoso como advertencia: una captura clara puede seguir siendo escaneable y convertir el aviso en un nuevo vector.

• Foto del QR y ubicación
• URL decodificada sin abrir
• Código y dominio auténticos
• Fecha y alcance de la inspección
• Pagos o datos reportados

Comprende el riesgo para el cliente

La FTC advierte que un QR puede dirigir a una web falsificada que roba credenciales o instalar malware. También documenta códigos colocados sobre parquímetros. El FBI recomienda desconfiar de códigos encontrados al azar o manipulados y de páginas que piden contraseñas después de escanear. La presencia física dentro de un negocio no garantiza autenticidad.

Determina qué pedía el destino: pago, tarjeta, contraseña, código de autenticación, descarga, permisos, documento o reseña. Un QR que redirige a una página de reseñas diferente puede dañar reputación; uno que captura pagos es un incidente financiero; uno que instala software exige respuesta técnica. Cada riesgo necesita proveedores y avisos diferentes.

No atribuyas el código a un empleado, competidor o visitante sin pruebas. Conserva cámaras y registros conforme a las reglas aplicables, limita el acceso y separa hechos de hipótesis. Si hubo datos personales, pagos o malware, involucra a seguridad, privacidad, finanzas y asesoramiento profesional según el país.

Ayuda a quien lo escaneó

Quien abrió la página pero no introdujo nada debe cerrarla, evitar descargas y buscar orientación de seguridad si concedió permisos. Quien escribió una contraseña debe cambiarla desde un dispositivo limpio, revisar sesiones y activar autenticación adicional. Si descargó una aplicación o perfil, necesita asistencia específica para su dispositivo.

Quien pagó o entregó tarjeta debe contactar de inmediato al banco o proveedor por un número verificado, conservar importe, hora, comercio y referencia y seguir sus pasos. En Estados Unidos, el FBI dirige reportes de fraude a IC3 y la FTC a ReportFraud.ftc.gov; España, México y otros países tienen canales propios. Ningún resultado o devolución está garantizado.

El negocio debe recibir solo la información necesaria mediante un canal seguro. No pidas tarjetas completas, contraseñas, documentos o capturas con datos sensibles. Registra cuántas personas reportaron el problema, qué acción realizaron y qué proveedor fue avisado. Esta guía no determina obligaciones legales de brecha o notificación.

Repara, denuncia y previene la repetición

Sustituye los códigos después de verificar el dominio y prueba cada uno con un dispositivo controlado. Utiliza una página oficial corta que muestre claramente la marca y el destino, inventaría las ubicaciones y añade inspecciones a la apertura y cierre. Evita acortadores opacos cuando la visibilidad del dominio ayude al cliente.

Denuncia el dominio, alojamiento, cuenta de pago, anuncio o perfil relacionado por separado y conserva referencias. Publica un aviso fechado en la web y locales indicando qué ubicaciones y dominios son auténticos, sin mostrar el código falso. Explica qué datos nunca solicitas y cómo verificar un pago o menú.

ReputationGeo.ai puede organizar pruebas, mapear dominios, preparar denuncias y avisos bilingües y monitorizar reapariciones. Hosts, registradores, bancos, plataformas y autoridades deciden de forma independiente. No garantizamos retirada, identificación, recuperación económica ni plazo. Una respuesta responsable combina seguridad física, digital, privacidad y reputación.

Cómo convertir esta guía en un plan responsable

Empieza por las pruebas, no por las suposiciones. Guarda los enlaces exactos, capturas, fechas de publicación, búsquedas, perfiles de reseñas y respuestas de inteligencia artificial que generan preocupación. Anota dónde aparece cada elemento, quién controla la fuente y si la información es inexacta, antigua, privada, engañosa o simplemente desfavorable. Estas diferencias importan porque retirar, corregir, responder, desplazar y monitorizar son soluciones distintas. Un asesor responsable debe explicarlas antes de recomendar acciones o hablar de plazos.

Después, define la audiencia y la decisión que está en riesgo. Un resultado visto por clientes potenciales en España puede exigir un idioma, unas fuentes y unas señales locales diferentes de un resultado que afecte a inversores en Estados Unidos. Decide qué nombres, marcas, ubicaciones y preguntas de búsqueda son prioritarios. Esta selección evita que la campaña se convierta en un intento impreciso de controlar internet y la transforma en un programa medible centrado en exactitud, confianza y visibilidad.

Pruebas, personas y métricas que conviene preparar

Crea una referencia antes de empezar. Puede incluir las dos primeras páginas de Google para las búsquedas acordadas, la puntuación y el volumen de reseñas, la visibilidad de páginas propias, los temas repetidos en respuestas de IA y el estado de solicitudes enviadas a plataformas o editores. Limita los datos personales a lo necesario y comparte documentos sensibles únicamente mediante un proceso seguro. Si puede existir un derecho legal, consulta con un abogado cualificado; la estrategia reputacional no sustituye el asesoramiento jurídico.

Asigna responsables para aprobar contenidos, verificar hechos y responder a clientes. Revisa el progreso con constancia, pero no juzgues el programa por una sola posición diaria. Las métricas útiles incluyen elementos corregidos o eliminados, respuestas completadas, presencia de fuentes propias e independientes creíbles, composición de resultados, tendencias de búsquedas de marca y capacidad de la información pública para responder preguntas reales. El objetivo es un historial digital más exacto y resistente, no una promesa artificial de que desaparecerá toda crítica.

Mantén un registro de decisiones, no solo una lista de enlaces

Para cada elemento relevante, registra la fuente exacta, el problema factual, la persona responsable de verificarlo, la vía propuesta y el motivo por el que resulta proporcionada. Incluye la fecha de cada solicitud, el plazo de respuesta, el número de referencia de la plataforma y la próxima fecha de revisión. Este registro evita denuncias duplicadas o contradictorias y permite que una nueva persona responsable entienda por qué un elemento se corrigió, impugnó, respondió, monitorizó o se dejó sin intervención.

Un buen registro también separa los hechos confirmados de las interpretaciones. Reserva las cuestiones jurídicas para abogados cualificados, los fallos de servicio para responsables operativos y las explicaciones públicas para revisión de comunicación. Si un elemento cambia, conserva las pruebas del antes y el después sin recopilar más datos personales de los necesarios. Esta disciplina es especialmente importante cuando buscadores y sistemas de IA se actualizan de forma imprevisible: permite saber qué cambió realmente y evita atribuirse movimientos que pueden tener varias causas.

• Fuente, enlace, fecha y búsqueda o consulta afectada
• Hechos verificados, afirmaciones discutidas y pruebas de apoyo
• Vía elegida, responsable, estado y próxima revisión
• Riesgos de privacidad, amplificación y escalado